🇰🇷 한글 설명
node-tar 7.5.10 미만 버전에서 드라이브 상대 경로(예: C:../target.txt)를 사용하여 압축 해제 디렉토리 외부를 가리키는 하드링크를 생성할 수 있는 취약점이 존재합니다. 이로 인해 정상적인 tar.x() 압축 해제 과정에서 현재 작업 디렉토리 외부의 파일이 덮어씌워질 수 있습니다.
💡 쉬운 설명
압축 파일을 풀 때, 압축 파일 안에 숨겨진 특수한 경로를 이용해 컴퓨터의 중요한 파일을 몰래 수정하거나 덮어쓸 수 있는 문제입니다. 악의적인 압축 파일을 실행하면 사용자가 의도하지 않은 위치의 파일이 변조될 위험이 있습니다.
🇺🇸 원문 (English)
node-tar is a full-featured Tar for Node.js. Prior to version 7.5.10, tar can be tricked into creating a hardlink that points outside the extraction directory by using a drive-relative link target such as C:../target.txt, which enables file overwrite outside cwd during normal tar.x() extraction. This issue has been patched in version 7.5.10.
📍 영향받는 시스템
node-tar versions prior to 7.5.10
⚔️ 공격 벡터
드라이브 상대 경로를 포함한 악의적인 tar 아카이브 파일을 통한 파일 덮어쓰기 공격
🛡️ 대응 방법
node-tar 라이브러리를 7.5.10 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 node-tar의 버전이 7.5.10 미만인지 확인하십시오.